attr_accessible到底是如何保护数据库的？

Question

我花了4个小时尝试学习rails的attr_accessible (我现在是一个尝试学习rails的新手)。每一篇文档/文章都集中在attr_accessible如何防止通过批量赋值来修改某些属性。很好，但没有人费心解释它在其他情况下如何保护数据库。

例如，我假设在提交表单以创建模型时发生批量分配。所以在本书的这个例子中，通过在routes.rb中声明这一点

resources :users

我已经可以使用REST轻松地创建/检索/更新/删除。我假设批量赋值发生在create中。并且使某些属性不可访问是有意义的。但是更新呢？attr_accessible没有提到任何关于单一赋值的内容。因此任何用户都可以发起POST调用来更新任何特定字段。我遗漏了什么？

Answer 1

http://guides.rubyonrails.org/security.html#mass-assignment

，因此任何用户都可以发起POST调用来更新任何特定字段。我遗漏了什么？

你错过了CSRF的保护。

Answer 2

不要错过任何东西。最常见的例子是：

如果您有一个"type“或"access”列来控制谁是管理员，谁不是管理员，而您没有对其进行保护，那么我可以使用CURL将自己创建为具有完全权限的管理员。